Asunto: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Última actualización: 05/03/2018 15:00 h PST

Esta es una actualización para el problema.

Se encuentra disponible un núcleo actualizado para Amazon Linux dentro de los repositorios de Amazon Linux. Las instancias EC2 lanzadas con la configuración predeterminada de Amazon Linux a partir del 13 de enero de 2018 incluirán automáticamente el paquete actualizado. que incorpora las últimas mejoras de seguridad de Linux de código abierto estable para tratar las CVE-2017-5715 dentro del núcleo y se basa en el Aislamiento de tablas de páginas del núcleo (Kernel Page Table Isolation, KPTI) previamente incorporado que trataba las CVE-2017-5754. Los clientes deben actualizar el núcleo o la AMI de Amazon Linux a la última versión para mitigar efectivamente los problemas de proceso a proceso de las CVE-2017-5715 y los problemas de proceso al núcleo de las CVE-2017-5754 dentro de sus instancias. Para obtener más información, consulte la “Ejecución especulativa del procesador: actualizaciones del sistema operativo”.

Consulte la información de “Asesoramiento sobre instancias PV” más adelante con respecto a las instancias paravirtualizadas (PV).

Amazon EC2

Todas las instancias de la flota de Amazon EC2 están protegidas de todos los problemas conocidos de instancia a instancia de CVE-2017-5715, CVE-2017-5753 y CVE-2017-5754. Los problemas de instancia a instancia suponen que una instancia vecina que no es de confianza puede leer la memoria de otra instancia o del hipervisor AWS. Este problema ha sido abordado para los hipervisores AWS, y ninguna instancia puede leer la memoria de otra instancia, ni tampoco puede leer la memoria del hipervisor AWS. Como se mencionó anteriormente, no hemos notado un impacto significativo en el desempeño para la gran mayoría de las cargas de trabajo de EC2.

A partir del 12 de enero de 2018, terminamos de desactivar las partes del nuevo microcódigo de la CPU de Intel para las plataformas en AWS, en las cuales notábamos una cantidad mínima de bloqueos y otros comportamientos impredecibles ocasionados por las actualizaciones del microcódigo de Intel. Este cambio mitigó los problemas en esta pequeña cantidad de instancias.

Acciones recomendadas para los clientes respecto a AWS Batch, Amazon EC2, Amazon Elastic Beanstalk, Amazon Elastic Container Service, Amazon Elastic MapReduce y Amazon Lightsail

Si bien todas las instancias del cliente están protegidas como se describe anteriormente, recomendamos a los clientes que implementen un parche a sus sistemas operativos de instancia para tratar los problemas de proceso a proceso o de proceso al núcleo. Para obtener instrucciones y asesoramiento sobre Amazon Linux y Amazon Linux 2, CentOS, Debian, Fedora, Microsoft Windows, Red Hat, SUSE, y Ubuntu, consulte la “Ejecución especulativa del procesador: actualizaciones del sistema operativo”.

Asesoramiento sobre instancias PV

Después de una investigación continua y un análisis detallado sobre los parches del sistema operativo disponibles para este problema, hemos determinado que las protecciones de los sistemas operativos no son suficientes para tratar los problemas de proceso a proceso dentro de las instancias paravirtualizadas (PV). Aunque los hipervisores de AWS protegen las instancias PV de cualquier problema de instancia a instancia, tal y como se indicó anteriormente, recomendamos a los clientes que estén preocupados por el aislamiento del proceso dentro de sus instancias PV (por ejemplo, procesar datos, ejecutar códigos y alojar usuarios que no son de confianza) que migren a tipos de instancia HVM para obtener beneficios de seguridad a largo plazo.

Para obtener más información sobre las diferencias entre PV y HVM (así como la documentación de la ruta de actualización de una instancia), consulte la siguiente página web:

https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/virtualization_types.html

Si necesita ayuda con las rutas de actualización para cualquier instancia PV, haga clic en Soporte.

Actualizaciones de otros servicios de AWS

Para los siguientes servicios fue necesario implementar parches a las instancias EC2 administradas en nombre de los clientes, finalizar todo el trabajo y no fue necesario que el cliente realizara ninguna acción:

  • Fargate
  • Lambda

A menos que se indique lo contrario a continuación, no es necesario que el cliente realice ninguna acción en relación con los demás servicios de AWS.

AMI optimizada para ECS

Hemos lanzado la versión 2017.09.g de AMI optimizada para Amazon ECS, que incorpora todas las protecciones de Amazon Linux para este problema. Aconsejamos a todos los clientes de Amazon ECS que se actualicen a esta última versión que está disponible en el AWS Marketplace.

Los clientes que decidan actualizar las instancias existentes de la AMI optimizada para ECS deben ejecutar el siguiente comando para asegurarse de que recibirán el paquete actualizado:

sudo yum update kernel

Como en cada actualización del núcleo de Linux, después de que la actualización yum se haya completado, es necesario reiniciar para que las actualizaciones entren en funcionamiento.

Para los clientes de Linux que no utilicen la AMI optimizada para ECS, se recomienda que consulten con el proveedor de cualquier sistema operativo, software o AMI alternativos o de terceros a fin de obtener las actualizaciones e instrucciones necesarias. Las instrucciones sobre Amazon Linux están disponibles en el Centro de seguridad de la AMI de Amazon Linux.

Hemos lanzado la versión 2018.01.10 de la AMI de Windows optimizada para Amazon ECS. Para obtener más información sobre cómo implementar parches a las instancias en ejecución, consulte la “Ejecución especulativa del procesador: actualizaciones del sistema operativo”.

Elastic Beanstalk

Hemos actualizado todas las plataformas basadas en Linux para incorporar todas las protecciones de Amazon Linux y, así, tratar este problema. Para obtener más información sobre las versiones específicas de las plataformas, consulte las notas de la versión. Recomendamos a los clientes de Elastic Beanstalk que actualicen sus entornos a la última versión de la plataforma disponible. Los entornos que utilicen actualizaciones administradas se actualizarán automáticamente durante el período de mantenimiento configurado.

Las plataformas basadas en Windows también se han actualizado para incorporar todas las protecciones de EC2 Windows y, así, tratar este problema. Recomendamos a los clientes actualizar sus entornos Elastic Beanstalk basados en Windows a la última configuración de plataforma disponible.

ElastiCache

Los nodos de caché de clientes que administra ElastiCache solo se dedican a ejecutar un motor de caché para un único cliente, sin ningún otro proceso accesible para el cliente y sin la posibilidad de que los clientes ejecuten códigos en la instancia subyacente. Debido a que AWS ha finalizado la protección de toda la infraestructura subyacente a ElastiCache, los problemas de proceso a núcleo o de proceso a proceso no representan un riesgo para los clientes. Ambos motores de caché que admite ElastiCache no han informado de problemas conocidos dentro del proceso hasta el momento.

EMR

Amazon EMR lanza clústeres de instancias de Amazon EC2 que ejecutan Amazon Linux en nombre de los clientes en la cuenta del cliente. Los clientes que estén preocupados por el aislamiento del proceso dentro de las instancias de los clústeres de Amazon EMR deben actualizar al último núcleo de Amazon Linux como se recomienda anteriormente. Hemos incorporado el último núcleo de Amazon Linux a nuevas versiones secundarias: 5.11.1, 5.8.1, 5.5.1 y 4.9.3. Con estas versiones, los clientes pueden crear nuevos clústeres de Amazon EMR.

Para obtener las versiones actuales de Amazon EMR y cualquier instancia en ejecución que el cliente pudiera tener, recomendamos a los clientes actualizar al último núcleo de Amazon Linux como se menciona anteriormente. En el caso de nuevos clústeres, los clientes pueden utilizar una acción de arranque para actualizar el núcleo de Linux y reiniciar cada instancia. En el caso de los clústeres en ejecución, los clientes pueden facilitar la actualización del núcleo de Linux y reiniciar cada instancia en su clúster de forma continua. Tenga en cuenta que reiniciar ciertos procesos puede afectar a las aplicaciones en ejecución dentro del clúster.

RDS

Las instancias de la base de datos de clientes administradas por RDS solo se dedican a ejecutar un motor de base de datos para un único cliente, sin ningún otro proceso accesible para el cliente y sin la posibilidad de que los clientes ejecuten códigos en la instancia subyacente. Debido a que AWS ha finalizado la protección de toda la infraestructura subyacente a RDS, los problemas de proceso a núcleo o de proceso a proceso no representan un riesgo para los clientes. La mayoría de los motores de bases de datos que admite RDS no han informado de problemas conocidos dentro del proceso hasta el momento. A continuación, se mencionan detalles adicionales y específicos del motor de base de datos y, a menos que se especifique lo contrario, no se requiere ninguna acción por parte del cliente.

Para las instancias de bases de datos de RDS for SQL Server, hemos lanzado el SO y los parches de motor que contienen parches de Microsoft en las siguientes versiones de motor:

SQL Server 2017 (14.00.3015.40.v1)
SQL Server 2016 (13.00.4466.4.v1)
SQL Server 2014 (12.00.5571.0.v1)
SQL Server 2012 (11.00.7462.6.v1)
SQL Server 2008 R2 (10.50.6560.0.v1)

Los clientes deben revisar el asesoramiento de Microsoft sobre la implementación de estos parches e implementarlos en el momento que deseen:

https://support.microsoft.com/en-us/help/4073225/guidance-for-sql-server

Para RDS PostgreSQL y Aurora PostgreSQL, no se requiere actualmente ninguna acción por parte del cliente para las Instancias de base de datos que se ejecutan en la configuración predeterminada. Una vez que las extensiones plv8 estén disponibles, proporcionaremos los parches adecuados para los usuarios de dichas extensiones. Mientras tanto, los clientes que hayan habilitado las extensiones plv8 (inhabilitadas por defecto) deberían considerar deshabilitarlas y revisar el asesoramiento de V8 en https://github.com/v8/v8/wiki/Untrusted-code-mitigations.

Actualmente, no se requiere ninguna acción por parte del cliente para las instancias de base de datos de RDS for MariaDB, RDS for MySQL, Aurora MySQL y RDS for Oracle.

VMware Cloud on AWS

Por VMware, “La solución, tal y como se documenta en VMSA-2018-0002, está presente en VMware Cloud on AWS desde principios de diciembre de 2017”.

Para obtener más información, consulte el Blog de seguridad y conformidad de VMware y para consultar el estado actualizado, visite https://status.vmware-services.io.

WorkSpaces

Para los clientes de la experiencia Windows 7 en Windows Server 2008 R2:

Microsoft ha lanzado nuevas actualizaciones de seguridad para Windows Server 2008 R2 para este problema. La entrega exitosa de estas actualizaciones requiere un software de Antivirus compatible que se ejecute en el servidor como se menciona en la actualización de seguridad de Microsoft: https://support.microsoft.com/en-us/help/4072699/january-3-2018-windows-security-updates-and-antivirus-software. Los clientes de WorkSpaces necesitarán realizar distintas acciones para obtener estas actualizaciones. Siga las instrucciones proporcionadas por Microsoft en: https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution.

Para los clientes de la experiencia Windows 10 en Windows Server 2016:

AWS ha implementado actualizaciones de seguridad a los escritorios de WorkSpaces que ejecutan la experiencia Windows 10 en Windows Server 2016. Windows 10 cuenta con el software de Antivirus de Windows Defender, que es compatible con estas actualizaciones de seguridad. No se requiere ninguna acción por parte del cliente.

Para BYOL y clientes con configuraciones de actualización predeterminadas modificadas:

Tenga en cuenta que los clientes que utilicen la característica Bring Your Own License (BYOL) de WorkSpaces y los que hayan cambiado la configuración de actualización predeterminada en WorkSpaces deben implementar de forma manual las actualizaciones de seguridad proporcionadas por Microsoft. Si este es su caso, siga las instrucciones proporcionadas por la nota oficial sobre seguridad de Microsoft en https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002. La nota oficial sobre seguridad incluye enlaces a artículos de base de conocimientos para Windows Server y sistemas operativos del cliente que proporcionan información adicional.

Los paquetes actualizados de WorkSpaces con las actualizaciones de seguridad estarán disponibles próximamente. Los clientes que hayan creado paquetes personalizados deben actualizar sus paquetes para poder incorporar las actualizaciones de seguridad por su cuenta. Cualquier escritorio nuevo de WorkSpaces que se lance a través de paquetes que no cuenten con las actualizaciones recibirá parches tan pronto sea posible después del lanzamiento, a menos que los clientes hayan modificado la configuración predeterminada de actualización en su WorkSpaces o que hayan instalado un software de Antivirus incompatible. En este último caso, los clientes deben seguir los pasos anteriores para implementar de forma manual las actualizaciones de seguridad proporcionadas por Microsoft.

WorkSpaces Application Manager (WAM)

Recomendamos a los clientes que elijan alguna de las siguientes acciones:

Opción 1: implemente manualmente las actualizaciones de Microsoft en las instancias en ejecución de empaquetador y validador de WAM siguiendo los pasos proporcionados por Microsoft en https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution. Esta página proporciona instrucciones adicionales y descargas relevantes.

Opción 2: finalice las instancias existentes de empaquetador y validador. Lance nuevas instancias a través de nuestras AMI actualizadas con la etiqueta “Amazon WAM Admin Studio 1.5.1” y “Amazon WAM Admin Player 1.5.1”.